Политика конфиденциальности для сайта: что написать, если стоит Яндекс Метрика

Политика конфиденциальности нужна каждому сайту, который собирает данные через формы или счётчики. Часть 2 статьи 18.1 закона «О персональных данных» требует опубликовать её на страницах, где идёт сбор. Если на сайте стоит Яндекс Метрика, в политике нужен отдельный раздел о ней. В нём перечисляют cookie счётчика и цели, указывают, что Яндекс обрабатывает данные по вашему поручению, и объясняют, как посетителю отказаться.

Политика и согласие – разные документы. Галочку и текст согласия мы разобрали в статье «Согласие на обработку персональных данных на сайте». Сам закон объясняет статья wiki «152-ФЗ и персональные данные на сайте». Здесь только политика и раздел о Яндекс Метрике, нормы сверены на октябрь 2026 года.

Обязательна ли политика конфиденциальности для сайта

Да, если сайт собирает персональные данные. Часть 2 статьи 18.1 обязывает оператора опубликовать документ, определяющий его политику обработки персональных данных, и сведения о мерах защиты. Публикуют их на страницах сайта, через которые собирают данные. Оговорки «только для юрлиц» в этой части нет, поэтому её применяют и к ИП, и к самозанятым с собственным сайтом.

Название закон не диктует: на сайтах документ называют политикой конфиденциальности или политикой обработки персональных данных, важно содержание. Сайт без форм тоже собирает данные, если на нём стоит счётчик аналитики.

Штраф за неопубликованную политику установлен частью 3 статьи 13.11 КоАП. На октябрь 2026 года это 30 000–60 000 ₽ для юрлица и 10 000–20 000 ₽ для ИП.

Что написать в политике: структура по рекомендациям Роскомнадзора

В 2017 году Роскомнадзор выпустил рекомендации по составлению политики, их текст есть в КонсультантПлюс. Обязательной формы нет, но структуру из рекомендаций удобно брать за основу. Ниже она же, переложенная на сайт компании.

Из рекомендаций стоит запомнить три детали. Третьих лиц указывают с наименованием и местонахождением, целями передачи и объёмом данных. Сроки хранения пишут конкретно: дата или условие, после которого обработка прекращается. Сам 152-ФЗ правовым основанием быть не может, это прямо сказано в рекомендациях.

Закон добавляет к политике ещё один блок: сведения о мерах защиты. Обычно это работа сайта по HTTPS, ограниченный доступ к админке и CRM, резервные копии и ответственный за обработку данных.

Яндекс Метрика и персональные данные: что говорят Роскомнадзор и Яндекс

Роскомнадзор ответил на этот вопрос в письме от 26.06.2024 № 08-242780. Если на сайте стоят метрические программы, которые различают посетителей и собирают сведения об их предпочтениях и поведении, это обработка персональных данных. Владелец сайта должен проинформировать посетителя, получить согласие и описать порядок обработки в локальном акте, то есть в политике.

Условия Яндекс Метрики в редакции от 07.08.2026 смотрят на это со стороны сервиса.

• Владелец счётчика – оператор персональных данных посетителей, а Яндекс обрабатывает их по его поручению (пункт 5.4). К таким данным условия относят информацию об активности на сайте, файлы cookie, данные об устройстве и операционной системе.
• Информацию об обработке дают посетителям в краткой, понятной и легкодоступной форме, а где этого требует закон, получают согласие (пункт 2.1).
• Владелец сайта обязан сообщить посетителям, что они могут запретить сбор данных расширением «Блокировщик Яндекс.Метрики» (пункт 5.8).

Отсюда вывод для политики: ООО «ЯНДЕКС» указывают как лицо, которое обрабатывает данные по вашему поручению. Есть оговорка: при некоторых настройках счётчика Яндекс может обрабатывать данные и по своей политике конфиденциальности (тот же пункт 5.4). Проверьте, какие функции передачи данных включены в счётчике, и упомяните их.

Как описать cookie и Метрику в политике: чек-лист

• Сервис и компания: Яндекс Метрика, ООО «ЯНДЕКС», обработка по поручению оператора.
• Цели: статистика посещаемости, оценка рекламы, улучшение сайта. Только те, ради которых счётчик действительно стоит.
• Данные: файлы cookie, сведения об устройстве и браузере, действия на страницах, а при включённом Вебвизоре ещё и запись визитов.
• Список cookie со сроками действия, хотя бы основных.
• Связь с заявками, если она есть: передаёте ли вы идентификатор Метрики в CRM.
• Как отказаться: настройки браузера и «Блокировщик Яндекс.Метрики».
• Срок хранения и порядок удаления.

Основные cookie Метрики по справке Яндекса на октябрь 2026 года.

Полный список своего сайта лучше снять самому: cookie ставят ещё CMS, коллтрекинг, онлайн-чаты и ваши скрипты. В Chrome он виден в инструментах разработчика: «Приложение», затем «Хранилище» и «Файлы cookie». Там же указан срок действия каждого файла.

Про связь с заявками расскажем на своём примере. На ebaev.ru каждая заявка из формы уходит в CRM вместе с ClientID Метрики, то есть значением cookie _ym_uid. Так мы видим, из какого источника пришёл клиент. Зачем это нужно, мы писали в статье про сквозную аналитику. Но с этого момента идентификатор cookie связан с именем и телефоном конкретного человека. Такую передачу политика должна описывать прямо, а не прятать в общих словах о статистике.

Вебвизор и формы: что не должно попадать в записи

Вебвизор записывает действия посетителей, в том числе заполнение форм. По справке Метрики на октябрь 2026 года счётчик сам распознаёт поля с конфиденциальной информацией, например имя и фамилию, и заменяет их содержимое звёздочками. Полагаться только на автоматику не стоит: по условиям сервиса за поля без специальной пометки отвечает владелец сайта (пункт 4.1.3).

• Если содержимое полей вам не нужно, отключите опцию «Записывать все поля» в настройках счётчика на вкладке «Вебвизор».
• Поля input и textarea, которые записывать нельзя, отметьте CSS-классом ym-disable-keys.
• Целые блоки, например окно чата, скройте классом ym-hide-content.

Если Вебвизор включён, в политике прямо пишут, что визиты записываются, и для чего.

Где разместить политику и нужен ли cookie-баннер

Закон требует публиковать политику на страницах, через которые собирают данные. Метрика стоит на всех страницах, поэтому ссылку на политику ставят в трёх местах:

• в подвале каждой страницы;
• рядом с каждой формой, отдельно от галочки согласия;
• в cookie-баннере.

Слова «баннер» в законе нет. Но Роскомнадзор в письме 2024 года говорит об информировании и согласии посетителя, а условия Метрики требуют краткой и легкодоступной информации. Баннер при первом заходе решает обе задачи, поэтому на сайте с Метрикой его стоит поставить. Что в нём написать, разобрано в статье про согласие.

Политику cookie можно выпустить отдельным документом или сделать разделом общей политики. На ebaev.ru это две страницы: «Политика конфиденциальности» и «Политика обработки файлов cookie». Ссылки на обе стоят в подвале и в подписи к галочке у каждой формы.

Если кроме Метрики есть другие сервисы

Каждому сервису, который получает данные посетителей, нужен отдельный пункт политики. Чем сложнее аналитика, тем длиннее раздел.

Пример из нашей практики: центр металлопроката в Челябинске. Чтобы видеть все каналы в одном отчёте, там работали коллтрекинг со статическими номерами под каждый канал, UTM-метки, подменные e-mail и интеграция с CRM Битрикс. Каждый из этих инструментов видит звонки, письма или заявки людей. В политике для такого набора нужен пункт на каждый инструмент: что он собирает, кто его предоставляет и зачем.

Отдельный случай: Google Analytics. В том же письме 2024 года Роскомнадзор назвал его использование трансграничной передачей данных, для которой нужно отдельное уведомление по части 3 статьи 12. Одной строки в политике здесь мало.

Где политика расходится с сайтом и законом

• Текст взят из генератора или с чужого сайта, и сервисы в нём не совпадают с реальными.
• Метрика стоит, а о cookie и счётчиках в политике ни слова.
• Правовым основанием указан сам 152-ФЗ.
• Цели описаны общими словами, сроки хранения не указаны.
• Нет сведений о мерах защиты, хотя закон требует публиковать их вместе с политикой.
• Политику не обновили, когда на сайте появился новый сервис или форма.

Коротко

Политика нужна любому сайту с формами или Метрикой, ссылка на неё стоит в подвале, у форм и в баннере. Раздел о Метрике называет Яндекс обработчиком по поручению, перечисляет cookie и цели, говорит о Вебвизоре и о том, как отказаться. Список сервисов и cookie снимают со своего сайта, а финальный текст согласует юрист.

Вопросы о политике конфиденциальности сайта

Источники

• 152-ФЗ «О персональных данных», статья 18.1 (КонсультантПлюс)
• Рекомендации Роскомнадзора по составлению документа, определяющего политику оператора в отношении обработки персональных данных (КонсультантПлюс)
• Письмо Роскомнадзора от 26.06.2024 № 08-242780 (ГАРАНТ.РУ)
• 152-ФЗ, статья 12: трансграничная передача персональных данных (КонсультантПлюс)
• КоАП РФ, статья 13.11 (КонсультантПлюс)
• Условия использования сервиса Яндекс Метрика
• Справка Яндекс Метрики: временные файлы cookie, устанавливаемые Метрикой
• Справка Яндекс Метрики: настройки Вебвизора
• Chrome DevTools: просмотр и изменение файлов cookie